Spring Kerberos认证超时：多AD节点未自动切换问题

你遇到的这个问题其实挺常见的——KerberosLdapContextSource虽然支持传入LDAP URL列表，但它默认的故障转移逻辑并不像我们预期的那样自动触发，尤其是在Kerberos认证场景下，很容易因为单个节点不可用导致超时。

为什么默认不自动切换？ #

核心原因在于Kerberos认证的绑定机制和KerberosLdapContextSource的初始化逻辑：

• 它在初始化阶段会尝试连接第一个可用的LDAP URL，但后续的上下文获取操作并不会自动轮询剩余URL；
• Kerberos的GSSAPI绑定是基于单个连接上下文的，一旦某个节点连接超时或失败，上下文不会自动切换到其他URL重新尝试认证。

可行的解决方案 #

1. 自定义ContextSource的故障转移包装

你可以自己实现一个包装类，对KerberosLdapContextSource的getContext()方法进行增强，当获取上下文失败时，自动切换到下一个URL重新尝试：

public class FailoverKerberosLdapContextSource extends KerberosLdapContextSource {
    private List<String> ldapUrls;
    private AtomicInteger currentIndex = new AtomicInteger(0);

    public FailoverKerberosLdapContextSource(List<String> ldapUrls) {
        super(String.join(" ", ldapUrls));
        this.ldapUrls = ldapUrls;
    }

    @Override
    protected DirContext getDirContextInstance(Hashtable<String, Object> environment) throws NamingException {
        int retryCount = 0;
        int maxRetries = ldapUrls.size();
        while (retryCount < maxRetries) {
            try {
                String currentUrl = ldapUrls.get(currentIndex.getAndIncrement() % ldapUrls.size());
                environment.put(Context.PROVIDER_URL, currentUrl);
                return super.getDirContextInstance(environment);
            } catch (NamingException e) {
                retryCount++;
                if (retryCount == maxRetries) {
                    throw e;
                }
                // 可选：添加短暂延迟后重试
                try {
                    Thread.sleep(500);
                } catch (InterruptedException ie) {
                    Thread.currentThread().interrupt();
                }
            }
        }
        throw new NamingException("All LDAP URLs are unavailable");
    }
}

然后在配置类中使用这个自定义的ContextSource：

@Bean
public ContextSource contextSource() {
    List<String> ldapUrls = Arrays.asList("ldap://ad-node1:389", "ldap://ad-node2:389");
    FailoverKerberosLdapContextSource contextSource = new FailoverKerberosLdapContextSource(ldapUrls);
    // 配置其他Kerberos参数（principal, keytab等）
    contextSource.setUserDnPatterns(...);
    contextSource.setReferral("follow");
    return contextSource;
}

2. 配置连接池与重试机制

结合Spring Retry框架，对认证操作添加重试逻辑，同时调整LDAP连接的超时参数：

• 首先添加Spring Retry依赖到你的项目构建文件；
• 在认证服务的方法上添加重试注解，指定触发重试的异常类型（比如NamingException）；
• 调整KerberosLdapContextSource的连接超时：

contextSource.setBaseEnvironmentProperties(Map.of(
    "com.sun.jndi.ldap.connect.timeout", "5000", // 连接超时5秒
    "com.sun.jndi.ldap.read.timeout", "10000"    // 读取超时10秒
));

3. 验证AD节点的独立Kerberos可用性

确保每个AD节点都能单独处理Kerberos认证：

• 手动用kinit命令测试每个节点的SPN是否配置正确；
• 确认每个节点的Kerberos KDC服务正常运行，且你的应用服务器能访问到每个节点的LDAP和Kerberos端口（389/636, 88）。

内容的提问来源于stack exchange，提问作者Samantha Catania